.webp)
Birleşik Arap Emirlikleri (BAE) , kişisel verilerin korunması için Kişisel Verilerin Korunmasına İlişkin 2021 tarihli ve 45 sayılı Federal Kanun Hükmünde Kararname — yaygın adıyla PDPL'yi yürürlüğe koydu.
Bu federal çerçeve, kapsamı ve istisnaları değerlendirilerek uygulanır. Karşılaştırma için AB GDPR ve Türkiye'deki KVKK da incelenebilir.
Yakın zamana kadar BAE'de gizlilik, sektöre özel yasalar (bankacılık, telekomünikasyon, sağlık) arasında parçalanmış durumdaydı. PDPL, federal bir temel oluşturarak bu durumu değiştirdi ve BAE Veri Ofisi tarafından denetlenen kişisel veri koruma standartlarını getirdi; bu ofis, 2021 tarihli ve 44 sayılı Federal Kanun Hükmünde Kararname ile kurulmuştur.
Şirketiniz BAE merkezli olmasa bile, yine de PDPL kapsamına girebilirsiniz.
Yasa, ülke sınırlarını aşan bir yetki alanına sahiptir: BAE dışındaki kuruluşların, BAE içindeki bireylerin kişisel verilerini işlemesi durumunda da geçerlidir.
PDPL şunlar için geçerlidir:
Ancak bu, aşağıdakiler için geçerli değildir:
PDPL kapsamında değerlendirilecek ilkeler ve yükümlülükler şunlardır:
Veri işleme hukuka uygun ve şeffaf olmalı, amaçlar bireylere açıkça bildirilmelidir.
PDPL kapsamında rıza, temel hukuki dayanaktır .
Şu şartları taşımalıdır: özgür iradeyle verilmiş, belirli bir konuya ilişkin, bilgilendirmeye dayalı ve tereddüde yer bırakmayacak kadar açık.
İstisnalar şunlardır:
Bireyler (ilgili kişiler) şunları yapabilir:
Veri sorumluları şunları yapmalıdır:
Kişisel veriler, yalnızca aşağıdaki durumlarda BAE dışına aktarılabilir:
Başlıca benzerlikler ve farklar.
| Özellik | BAE PDPL | AB GDPR |
|---|---|---|
| Hukuki dayanak | Rıza merkezlidir; sözleşme, hukuki yükümlülük ve kamu yararı gibi belirli istisnalar dışında işleme genellikle açık rıza gerektirir. | Birden fazla hukuki dayanak bulunur: rıza, sözleşme, hukuki yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat. |
| Coğrafi kapsam | BAE'deki veri sorumluları ve işleyenler ile BAE'deki kişilerin verilerini işleyen BAE dışı kuruluşlara uygulanır. | AB'deki veri sorumluları ve işleyenler ile AB'deki kişilere mal veya hizmet sunan ya da davranışlarını izleyen AB dışı kuruluşlara uygulanır. |
| Serbest bölgeler | DIFC ve ADGM'nin kendi veri koruma düzenlemeleri vardır; PDPL genel olarak bu bölgelerde uygulanmaz. | Sınırlı ulusal istisnalarla AB genelinde ortak çerçeve; “serbest bölge” muafiyeti yoktur. |
| Sınır ötesi aktarımlar | Yeterli koruma sağlayan ülkelere veya güvenceler ve istisnalar kapsamında aktarım yapılabilir; sözleşme hükümleri, gereklilik ve rıza örnekler arasındadır. | Yeterlilik kararları, standart sözleşme maddeleri, bağlayıcı şirket kuralları ve sınırlı istisnalar. |
| İlgili kişi hakları | PDPL çerçevesinde erişim, düzeltme, silme, itiraz, kısıtlama ve taşınabilirlik. | Benzer temel haklar; yerleşik düzenleyici rehberlik ve kapsamlı içtihat. |
| Yönetişim ve veri koruma görevlisi | İşleme kayıtları, teknik ve idari tedbirler, yüksek riskli işlemede etki değerlendirmeleri; belirli yüksek riskli durumlarda veri koruma görevlisi. | Benzer yükümlülükler; temel faaliyetlerin büyük ölçekli izleme veya özel nitelikli veri işlemeyi içerdiği belirli durumlarda veri koruma görevlisi. |
| İhlal bildirimi | BAE Veri Ofisine ve gerektiğinde etkilenen kişilere bildirim; uygulama süreleri Uygulama Yönetmeliği ile belirlenir. | Mümkünse 72 saat içinde yetkili makama; yüksek risk halinde kişilere bildirim. |
| Yaptırımlar | BAE Veri Ofisi ve Bakanlar Kurulu kararlarıyla belirlenen idari yaptırımlarTutarlar için ilgili düzenlemeler esas alınır | 20 milyon avroya veya dünya çapındaki yıllık cironun %4'üne kadar; yüksek olan uygulanır. |
| Uygulama durumu | Yürürlüktedir; tam uygulama, Uygulama Yönetmeliği ve geçiş süreleriyle bağlantılıdır. | 2018'den beri uygulanmaktadır ve yerleşik bir yaptırım pratiği vardır. |
GDPR çalışmalarınızı başlangıç olarak kullanabilirsiniz. Rıza, aktarım mekanizmaları ve DIFC/ADGM ile ilişkileri PDPL açısından ayrıca inceleyin.
GDPR hazırlığı bazı kontrolleri yeniden kullanmanıza yardımcı olabilir. Ancak PDPL'ye hazırlığı tek bir yüzdeyle ölçmek için dayanak yoktur . Rıza ve yerel aktarım kuralları için ayrı bir değerlendirme gerekir.
İster BAE merkezli bir kuruluş, ister Türk bir SaaS sağlayıcısı veya uluslararası bir veri sorumlusu olun, pratik bir PDPL hazırlık planı şunları içermelidir:
BAE pazarında faaliyet gösteren kuruluşlar, uygulanabilir veri koruma rejimini belirlemeli ve uyum sorumluluklarını belgelemelidir.
Sınır ötesi hizmet sağlayıcılardan, geçerli PDPL yükümlülüklerine uyumu gösteren kanıtlar istenebilir. Sözleşme şartlarını ve uygulanabilir görevleri doğrulayın.
Uygulanabilir gereklilikleri inceleyin, sözleşme ve prosedürlerdeki eksikleri belirleyin ve personel eğitimi için sorumluluk atayın. Belirli bir son tarihe dayanarak plan yapmadan önce uygulama düzenlemelerini kontrol edin.
